KI-Verordnung im Gesundheitswesen: was Einrichtungen jetzt vorbereiten
Stand: 2. August 2026
Die EU-KI-Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise angewendet. Die vollständigen Pflichten für Hochrisiko-KI-Systeme waren ab dem 2. August 2026 vorgesehen; durch den im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarten Digital Omnibus on AI verschieben sich Teile dieser Pflichten nach hinten. Unabhängig vom Zeitplan lassen sich die organisatorischen Grundlagen bereits jetzt schaffen.
- In Kraft seit 1. August 2024, stufenweise Anwendung
- Vollständige Hochrisiko-Pflichten waren ab 2. August 2026 vorgesehen
- Digital Omnibus on AI (Mai 2026): Teile verschieben sich nach hinten
- Zeitplan derzeit in Bewegung – Grundlagenarbeit lohnt trotzdem
- Hosting in der EU/Deutschland oder lokal, wenn möglich
Wer ist betroffen
Einrichtungen, die KI-Systeme einsetzen oder anbieten
Maßgeblich ist, welche KI-Systeme in der Einrichtung eingesetzt werden und in welcher Rolle – als Anbieter oder als Betreiber. Diese Einordnung ist je System zu klären, weil sich daraus unterschiedliche Pflichten ergeben.
- Arztpraxen und MVZ mit KI-gestützten Tools
- Kliniken und Klinikverbünde
- Therapieeinrichtungen und Heilberufe
- Gutachtenstellen mit KI-gestützter Auswertung
- Öffentliche Stellen im Gesundheitsbereich
- Einrichtungen mit Transkriptions- oder Dokumentationstools
- Einrichtungen, die KI lokal hosten oder EU-konform betreiben wollen
Was jetzt zu tun ist
Was jetzt sinnvoll vorbereitet werden kann
Diese Punkte sind unabhängig vom weiteren Zeitplan tragfähig.
- 1
Vollständiges KI-Inventar anlegen
Alle eingesetzten KI-Systeme und -Funktionen erfassen, einschließlich Funktionen in bereits genutzter Software.
- 2
Rolle je System klären
Für jedes System festhalten, ob die Einrichtung als Anbieter oder als Betreiber auftritt, und die Einordnung dokumentieren.
- 3
KI-Kompetenz und Schulung sicherstellen
Mitarbeitende zu Funktionsweise, Grenzen und verantwortungsvollem Einsatz der genutzten Systeme schulen und die Schulung nachweisen.
- 4
Tools datenschutzrechtlich prüfen
Eingesetzte Tools nach DSGVO und § 203 StGB bewerten – insbesondere im Umgang mit Patientendaten.
- 5
Interne Nutzungsregeln festlegen
Verbindlich regeln, welche Systeme für welche Zwecke genutzt werden dürfen und welche Daten dabei nicht eingegeben werden.
- 6
Verantwortlichkeiten benennen
Festlegen, wer die Freigabe neuer KI-Tools verantwortet und wer das Inventar aktuell hält.
- 7
Dokumentation nachweisfähig ablegen
Inventar, Rollenklärung, Tool-Prüfungen und Schulungsnachweise strukturiert im digitalen Datenschutzordner führen.
- 8
Hosting-Standort prüfen
KI-Systeme mit Patientendaten bevorzugt in der EU oder Deutschland hosten – lokal im Haus, wenn technisch möglich, um Datenweitergaben zu vermeiden.
- 9
Zeitplan beobachten
Da sich Teile der Pflichten durch den Digital Omnibus on AI nach hinten verschieben, den Stand regelmäßig prüfen und die Unterlagen nachziehen.
Wie wir unterstützen
Organisatorische Unterstützung bei KI-Einsatz und Datenschutz
Wir erstellen Inventar und Unterlagen, prüfen die eingesetzten Tools datenschutzrechtlich und schulen Ihr Team.
- Aufbau und Pflege des KI-Inventars
- Strukturierte Klärung der Rolle Anbieter oder Betreiber
- Datenschutzrechtliche Prüfung der Tools nach DSGVO
- Berücksichtigung der Schweigepflicht nach § 203 StGB
- Schulung zu KI-Kompetenz für Mitarbeitende
- Interne Nutzungsregeln und Freigabeprozess
- Digitaler Datenschutzordner mit Nachweisstruktur
- Beratung zu lokalem KI-Betrieb und EU-konformem Hosting
- Installation von Medizin-KI-Systemen vor Ort
- Externer Datenschutzbeauftragter auf Wunsch
Empfohlener Einstieg
Datenschutz-Bestandsaufnahme – 690 € netto
Soll-Ist-Analyse mit vollständiger Dokumentation, AVV-Organisation, TOMs, Datenschutzerklärung und Mitarbeiterunterlagen.
Zur BestandsaufnahmeÜberblick
Alle Leistungen im Detail
Externer Datenschutzbeauftragter, Schulungen, Dokumentation, IT-Themen und Aktenvernichtung im Überblick.
Zu den LeistungenFAQ
Häufig gestellte Fragen.
- Seit wann gilt die EU-KI-Verordnung?
- Die EU-KI-Verordnung ist seit dem 1. August 2024 in Kraft und wird stufenweise angewendet.
- Wann greifen die Pflichten für Hochrisiko-KI-Systeme?
- Die vollständigen Pflichten für Hochrisiko-KI-Systeme waren ab dem 2. August 2026 vorgesehen. Durch den im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarten Digital Omnibus on AI verschieben sich Teile dieser Pflichten nach hinten; der Zeitplan ist derzeit in Bewegung.
- Was ist der Digital Omnibus on AI?
- Es handelt sich um eine im Mai 2026 zwischen Rat und Europäischem Parlament vereinbarte Anpassung, durch die sich Teile der Pflichten zeitlich nach hinten verschieben. Da der Zeitplan in Bewegung ist, verzichten wir auf feste Datumsangaben und arbeiten mit dem jeweils aktuellen Stand.
- Sind wir Anbieter oder Betreiber?
- Diese Rolle ist je eingesetztem System zu klären, weil sich daraus unterschiedliche Pflichten ergeben. Wir strukturieren die Einordnung und dokumentieren sie je System.
- Was sollten Einrichtungen unabhängig vom Zeitplan jetzt tun?
- Sinnvoll sind: ein vollständiges KI-Inventar anlegen, die Rolle als Anbieter oder Betreiber klären, KI-Kompetenz und Schulung der Mitarbeitenden sicherstellen sowie die eingesetzten Tools datenschutzrechtlich nach DSGVO und § 203 StGB prüfen.
- Warum spielt § 203 StGB bei KI-Tools eine Rolle?
- Beim Einsatz von Tools im Gesundheitswesen sind neben der DSGVO auch die Anforderungen der Schweigepflicht nach § 203 StGB zu berücksichtigen. Beides prüfen wir gemeinsam im Rahmen der Tool-Bewertung.
- Wo sollen KI-Systeme mit Patientendaten betrieben werden?
- Bevorzugt in der EU oder Deutschland – und lokal in der Einrichtung, wenn technisch möglich. Damit bleiben Patientendaten unter eigener Kontrolle, es entstehen keine ungewollten Datenweitergaben an Dritte, und Schweigepflicht sowie DSGVO lassen sich besser umsetzen. Wir beraten beim Hosting-Standort und installieren Medizin-KI auf Wunsch direkt vor Ort.
Unverbindliches Erstgespräch
Wir schauen uns Ihre Ausgangslage an und zeigen, welche organisatorischen Schritte für Ihre Einrichtung sinnvoll sind.
daviddoermann@datenschutz-gesund.de
Hinweis: Wir leisten datenschutzfachliche und organisatorische Unterstützung, Dokumentation, Strukturierung und Schulung – keine Rechtsberatung im Einzelfall und keine anwaltliche Rechtsberatung. Die abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber. Stand der Informationen: 2. August 2026.